Luka wtyczki WP Online Contract dla WordPress umożliwia nieautoryzowany dostęp

Co wiadomo

Wtyczka WP Online Contract dla WordPress do wersji 5.1.4 ma lukę pozwalającą na nieautoryzowany import i eksport ustawień z powodu braku weryfikacji uprawnień w funkcjach json_import() i json_export(). Atakujący bez uwierzytelnienia mogą manipulować konfiguracją wtyczki.

Wpływ biznesowy

Dla operatorów IT i właścicieli infrastruktury oznacza to ryzyko nieautoryzowanych zmian w konfiguracji wtyczki, co może prowadzić do naruszenia integralności danych lub niezamierzonych zmian w działaniu systemu. Luka ta może być wykorzystana do przygotowania dalszych ataków lub eskalacji uprawnień.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Online Contract i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji importu i eksportu ustawień, monitorować logi pod kątem podejrzanych działań oraz priorytetyzować działania zabezpieczające w środowisku WordPress.

Źródła

• NVD
• Reference
• Reference